NIST CSF 2.0 का "शासन करना" फ़ंक्शन: कौन से फ़्रेमवर्क इसे पहले से कवर करते हैं?

जब NIST ने फ़रवरी 2024 में CSF 2.0 प्रकाशित किया, तब सबसे प्रमुख बदलाव एक छठा फ़ंक्शन था। शासन करना (Govern) पहचानना, सुरक्षित रखना, पता लगाना, प्रतिक्रिया देना और पुनर्प्राप्त करना के साथ जुड़ा, और NIST ने इसे बाकी सबके केंद्र में रखा: संगठनात्मक संदर्भ, जोखिम प्रबंधन रणनीति, भूमिकाएँ और ज़िम्मेदारियाँ, नीति, निगरानी, और साइबरसुरक्षा आपूर्ति श्रृंखला जोखिम प्रबंधन। इसने शासन को "पहचानना" के अंतर्गत एक श्रेणी से उस चीज़ में बदल दिया जो बाकी सब कुछ दिशा देती है।

अगर आप पहले से कोई और फ़्रेमवर्क फ़ॉलो करते हैं, तो आपके पास शासन करना का कितना हिस्सा है?

फ़्रेमवर्क के अनुसार शासन करना कवरेज

ControlMapping में छह विषय हैं जो शासन करना फ़ंक्शन पर आधारित हैं। यहाँ दिया गया है कि हर फ़्रेमवर्क उनमें से कितने को मैप करता है:

फ़्रेमवर्क	शासन विषय मैप किए गए	के लिए कोई मैपिंग नहीं
ISO 27001	6 में से 6	—
SOC 2	6 में से 6	—
PCI DSS	6 में से 6	—
800-53	6 में से 6	—
GDPR	6 में से 6	—
NIS2	6 में से 6	—
HIPAA	6 में से 5	आपूर्ति श्रृंखला जोखिम
CIS v8.1	6 में से 2	शासन नीति, जोखिम प्रबंधन, भूमिकाएँ और उत्तरदायित्व, अनुपालन
CMMC	6 में से 2	शासन नीति, आपूर्ति श्रृंखला जोखिम, भूमिकाएँ और उत्तरदायित्व, वेंडर जोखिम प्रबंधन
Essential Eight	6 में से 0	शासन नीति, जोखिम प्रबंधन, आपूर्ति श्रृंखला जोखिम, भूमिकाएँ और उत्तरदायित्व, अनुपालन, वेंडर जोखिम प्रबंधन

विषय: शासन नीति, जोखिम प्रबंधन, आपूर्ति श्रृंखला जोखिम, भूमिकाएँ और उत्तरदायित्व, अनुपालन, वेंडर जोखिम प्रबंधन.

वे फ़्रेमवर्क जो इसे कवर करते हैं

प्रबंधन-प्रणाली और नियंत्रण-सूची वाले फ़्रेमवर्क शासन करना को अच्छी तरह कवर करते हैं। ISO 27001 के खंड 4 से 6 और 9 शासन से जुड़े हैं: संदर्भ, नेतृत्व, भूमिकाएँ, जोखिम मूल्यांकन और उपचार, प्रदर्शन मूल्यांकन, प्रबंधन समीक्षा। SP 800-53 में पूरा कार्यक्रम प्रबंधन (PM) परिवार है। SOC 2 के नियंत्रण-वातावरण मानदंड (CC1 से CC5) COSO आंतरिक-नियंत्रण फ़्रेमवर्क से आते हैं, जो डिज़ाइन से ही शासन है। PCI DSS की आवश्यकता 12 और NIS2 की प्रबंधन-निकाय ज़िम्मेदारियाँ भी उसी दायरे को भरती हैं।

वे फ़्रेमवर्क जो इसे कवर नहीं करते

परिचालन बेसलाइन इसका बहुत कम हिस्सा कवर करते हैं। Essential Eight आठ तकनीकी शमन रणनीतियाँ हैं और इसमें शासन से जुड़ी कोई सामग्री नहीं है; यह एक डिज़ाइन चुनाव है, कोई चूक नहीं। CIS Controls v8.1 मुख्य रूप से सेवा-प्रदाता प्रबंधन और डेटा-प्रबंधन प्रक्रियाओं के माध्यम से शासन को छूते हैं। CMMC Level 2 सिस्टम में CUI की सुरक्षा पर SP 800-171 के फ़ोकस को अपनाता है, जिससे जोखिम-रणनीति और आपूर्ति-श्रृंखला कार्यक्रम के अधिकांश परिणाम छूट जाते हैं।

आपूर्ति श्रृंखला: शासन करना का सबसे कठिन हिस्सा

शासन करना में साइबरसुरक्षा आपूर्ति श्रृंखला जोखिम प्रबंधन पर दस उपश्रेणियाँ हैं, जो एक कार्यक्रम होने से लेकर संबंध के जीवनचक्र के माध्यम से आपूर्तिकर्ताओं को प्रबंधित करने तक जाती हैं। कई फ़्रेमवर्क आपूर्तिकर्ता सुरक्षा को छूते हैं (ISO 27001 का A.5.19 से A.5.23, SOC 2 का CC9.2, PCI DSS 12.8), लेकिन कम ही इसे जोखिम मानदंडों, स्तरों और निगरानी वाले कार्यक्रम के रूप में देखते हैं। अगर आपका शासन करना का फ़्रेमवर्क कवरेज उच्च है, तो जाँचें कि क्या वह विशेष रूप से आपूर्ति श्रृंखला पर भी उच्च है।

मुख्य बिंदु

• शासन करना CSF 2.0 का नया फ़ंक्शन है, जो संदर्भ, जोखिम रणनीति, भूमिकाएँ, नीति, निगरानी और आपूर्ति श्रृंखला जोखिम के लिए है।
• प्रबंधन-प्रणाली और कैटलॉग वाले फ़्रेमवर्क (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) इसे अच्छी तरह कवर करते हैं।
• परिचालन बेसलाइन (Essential Eight, CIS, CMMC) डिज़ाइन से ही इसका बहुत कम हिस्सा कवर करते हैं।
• आपूर्ति श्रृंखला जोखिम शासन करना का वह हिस्सा है जिसकी गहराई फ़्रेमवर्क के बीच सबसे अधिक भिन्न होती है।

क्या करें

1. अगर आप परिचालन बेसलाइन चलाते हैं (CIS, Essential Eight, CMMC), तो उसके ऊपर शासन जोड़ें: CSF का शासन करना फ़ंक्शन, या ISO 27001 की प्रबंधन प्रणाली, आपको संरचना देती है।
2. अगर आप ISO 27001 या SOC 2 चलाते हैं, तो बोर्ड रिपोर्टिंग को बेहतर बनाने के लिए शासन करना का उपयोग करें: CSF के परिणाम ऐसी भाषा में लिखे गए हैं जिसे अधिकारी समझते हैं।
3. आपूर्ति श्रृंखला और विक्रेता जोखिम विषयों की जाँच करें, जहाँ फ़्रेमवर्क गहराई में सबसे अधिक भिन्न हैं।

CSF 2.0 फ़्रेमवर्क पेज में शासन करना की हर उपश्रेणी और उसके मैपिंग सूचीबद्ध हैं, और गैप विश्लेषण दिखाता है कि आपके पास मौजूद किसी भी फ़्रेमवर्क से CSF कवरेज कैसा है।

प्रश्न

NIST CSF 2.0 में शासन करना (Govern) फ़ंक्शन क्या है?

शासन करना (GV) को 2024 में CSF 2.0 में जोड़ा गया, और यह संगठनात्मक संदर्भ, जोखिम प्रबंधन रणनीति, भूमिकाएँ और ज़िम्मेदारियाँ, नीति, निगरानी और साइबरसुरक्षा आपूर्ति श्रृंखला जोखिम प्रबंधन को कवर करता है। NIST इसे बाकी पाँच फ़ंक्शनों के केंद्र में रखता है।

क्या ISO 27001 CSF 2.0 के शासन करना को कवर करता है?

काफ़ी हद तक, हाँ: ISO 27001 के खंड 4 से 6 और 9 (संदर्भ, नेतृत्व, जोखिम, प्रदर्शन मूल्यांकन) और उसके आपूर्तिकर्ता नियंत्रण शासन करना के अधिकांश परिणामों से मेल खाते हैं।

क्या CSF 2.0 का शासन करना केवल बड़े संगठनों के लिए है?

नहीं। छोटे संगठनों को भी वही बुनियादी बातें हल्के रूप में चाहिए: कौन ज़िम्मेदार है, कौन से जोखिम स्वीकार्य हैं, नीतियाँ क्या हैं, और आपूर्तिकर्ताओं को कैसे प्रबंधित किया जाता है।